Katalog podatności CVE

System zarządzania studentami Cyber-III zawiera podatność na atak XSS w pliku /admin/class%20schedule/delete_batch.php. Manipulacja argumentem batch prowadzi do odbicia skryptu. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.

W Vimie, wtyczka zip.vim przed wersją 9.2.0280 zawiera obejście zabezpieczenia przed podróżą po ścieżce, umożliwiające nadpisywanie dowolnych plików podczas otwierania specjalnie spreparowanych archiwów zip. Podatność ta obchodzi wcześniejszą poprawkę dla CVE-2025-53906.

Ajenti przed wersją 2.2.15 umożliwia uwierzytelnionemu użytkownikowi (korzystającemu z wtyczki auth_users) instalację niestandardowego pakietu, nawet jeśli nie jest on superużytkownikiem. Luka została naprawiona w wersji 2.2.15.

Chyrp Lite przed wersją 2026.01 ma podatność IDOR/Mass Assignment w modelu Post. Uwierzytelnieni użytkownicy z uprawnieniami do edycji postów mogą modyfikować posty innych użytkowników, przekazując wewnętrzne właściwości klasy, takie jak id, w ładunku post_attributes.

Hugo, generator statycznych stron, w wersjach od 0.60.0 do przed 0.159.2 nieprawidłowo escapuje linki i linki do obrazów w domyślnym rendererze markdown do HTML. Użytkownicy Hugo, którzy ufają treściom Markdown lub mają niestandardowe hooki renderowania linków i obrazów, nie są narażeni. Podatność została naprawiona w wersji 0.159.2.

W aplikacji Tandoor Recipes w wersjach przed 2.6.4 uwierzytelnieni użytkownicy mogą wstrzykiwać dowolne znaczniki <style> do instrukcji kroków przepisu. Sanitizer bleach.clean() jawnie zezwala na znacznik <style>, co powoduje, że backend przechowuje i udostępnia przez API nieoczyszczone ładunki CSS. Klienci, którzy pobierają instructions_markdown z API i renderują je jako HTML bez dodatkowej sanityzacji, wykonają CSS kontrolowany przez atakującego, co umożliwia m.in. UI redressing, nakładki phishingowe, wizualne zniekształcenie i eksfiltrację danych za pomocą CSS.

Podatność ujawniania informacji w AZIOT 1 Node Smart Switch (16A) z oprogramowaniem w wersji 1.1.9 wynika z nieprawidłowej kontroli dostępu do interfejsu debugowania UART. Atakujący z fizycznym dostępem może podłączyć się do interfejsu UART i uzyskać poufne informacje z konsoli szeregowej bez uwierzytelnienia.

W Ascertia SigningHub User v10.0 występuje otwarte przekierowanie, które pozwala atakującym przekierować użytkowników na złośliwą witrynę za pomocą spreparowanego adresu URL.

W systemie Cyber-III Student-Management-System funkcja move_uploaded_file w pliku /AssignmentSection/submission/upload.php pozwala na nieograniczone przesyłanie plików poprzez manipulację argumentem File. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.

W whisperX API (wersje 0.3.1 do 0.5.0) funkcja FileService.download_from_url() wywołuje requests.get(url) bez walidacji adresu URL. Sprawdzenie rozszerzenia pliku następuje po wykonaniu żądania HTTP i można je obejść, dodając .mp3 do dowolnego wewnętrznego adresu URL. Endpoint /speech-to-text-url nie wymaga uwierzytelnienia.

W Feehi CMS v2.1.1 wykryto podatność na trwały atak XSS w module tworzenia/edycji treści. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Content, który zostanie wykonany w przeglądarkach innych użytkowników.

W narzędziu tar znaleziono błąd, który pozwala zdalnemu atakującemu na stworzenie złośliwego archiwum, prowadzącego do ukrytego wstrzyknięcia plików z w pełni kontrolowaną zawartością. Obejmuje to mechanizmy inspekcji przed rozpakowaniem, co może pozwolić na wprowadzenie złośliwych plików do systemu bez wykrycia.

Wykryto podatność w code-projects Online FIR System 1.0. Nieznana funkcjonalność pliku /complaints.sql w komponencie obsługi kopii zapasowej bazy danych prowadzi do niezabezpieczonego przechowywania danych wrażliwych. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

Workbench, zestaw narzędzi dla administratorów i deweloperów do interakcji z organizacjami Salesforce.com przez API Force.com, w wersjach przed 65.0.0 zawiera podatność typu reflected cross-site scripting (XSS) poprzez parametr footerScripts. Parametr ten nie jest sanityzowany przed renderowaniem w odpowiedzi strony, co pozwala na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.

Podatność DoS w vLLM od wersji 0.1.0 do 0.19.0 pozwala nieuwierzytelnionemu atakującemu na zablokowanie pętli zdarzeń asyncio i wywołanie awarii Out-Of-Memory poprzez wysłanie pojedynczego żądania HTTP z bardzo dużą wartością parametru n w modelach ChatCompletionRequest i CompletionRequest.

Podatność w vLLM od wersji 0.7.0 do 0.19.0 pozwala atakującemu na wysłanie pojedynczego żądania API z tysiącami zakodowanych w base64 ramek JPEG, co powoduje dekodowanie wszystkich ramek do pamięci i awarię serwera z powodu braku pamięci (OOM). Problem wynika z braku ograniczenia liczby ramek w metodzie VideoMediaIO.load_base64().

W bibliotece OpenEXR w wersjach od 3.2.0 do 3.2.7, 3.3.9 i 3.4.9 wykryto podatność w dekompresji DWA. Przy odpowiednio dużej szerokości obrazu, arytmetyka 32-bitowa powoduje przepełnienie, co prowadzi do zapisu poza przydzielonym buforem.

OpenEXR w wersjach od 3.2.0 do przed 3.2.7, 3.3.9 i 3.4.9 zawiera przepełnienie liczb całkowitych ze znakiem w funkcji undo_pxr24_impl() w pliku src/lib/OpenEXRCore/internal_pxr24.c. Wartość w * 3 jest obliczana jako 32-bitowa liczba ze znakiem przed rzutowaniem, co może prowadzić do obejścia sprawdzenia granic i zapisu poza bufor. Podatność naprawiono w wersjach 3.2.7, 3.3.9 i 3.4.9.

OpenEXR w wersjach od 3.4.0 do przed 3.4.9 ma brak sprawdzenia granic atrybutu dataWindow w nagłówkach plików EXR, co pozwala atakującemu wywołać przepełnienie liczb całkowitych ze znakiem w funkcji generic_unpack(). Ustawienie dataWindow.min.x na dużą wartość ujemną powoduje obliczenie ogromnej szerokości obrazu i przepełnienie w mnożeniu, kończące proces sygnałem SIGILL przez UBSan. Podatność naprawiono w wersji 3.4.9.

Podatność typu uszkodzenie pamięci występuje przy dostępie do zwolnionej pamięci w wyniku równoczesnego wyrejestrowania fence i obsługi sygnałów. Sytuacja wyścigu prowadzi do użycia wskaźnika do zwolnionego obszaru pamięci.